NKDL 26.¹ pants: privileģētā piekļuve un Sodu reģistra pārbaude

Normas teksts

Pants ieviests ar 2026. gada 4. jūnija grozījumu likumu un ir spēkā kopš 18. jūnija. Pārejas perioda tam nav. Citēsim pirmo daļu pilnībā, jo tvērumu nosaka tās formulējums.

Par subjekta darbinieku informācijas un komunikācijas tehnoloģiju jomā, kuram ir privileģētas tiesības piekļūt sistēmām vai informācijas un komunikācijas tehnoloģiju resursiem, kam ir tieša ietekme uz subjekta pamatdarbību, nevar būt persona, kura sodīta, izņemot personas, kuras reabilitētas vai kurām sodāmība noņemta vai dzēsta, par: 1) tāda tīša nozieguma izdarīšanu, kas saistīts ar terorismu; 2) tīša nozieguma izdarīšanu pret valsti, pārvaldības kārtību vai tīša nozieguma izdarīšanu valsts institūciju dienestā; 3) tīša nozieguma izdarīšanu pret īpašumu vai tīša nozieguma izdarīšanu tautsaimniecībā.

NKDL 26.¹ panta pirmā daļa

Otrā daļa uzliek subjektam pienākumu pieņemt individuālu lēmumu par tādas personas nodarbināšanu, kura ir sodīta par kādu no šiem noziegumiem un nav reabilitēta un kurai sodāmība nav noņemta vai dzēsta. Lēmumā jāizvērtē personas radītais drošības risks, nozieguma raksturs, kopš soda izciešanas pagājušais laiks un personas piemērotība amatam. Trešā daļa dod subjektam tiesības pieprasīt un saņemt ziņas no Sodu reģistra, lai pirms pieņemšanas darbā vai dienestā pārbaudītu atbilstību pirmās daļas ierobežojumiem.

Uz kuriem darbiniekiem tas attiecas

Pirmā daļa ietver trīs nosacījumus, kuriem jāizpildās vienlaikus. Pirmkārt, persona ir subjekta darbinieks IKT jomā. Otrkārt, tai ir privileģētas tiesības piekļūt sistēmām vai IKT resursiem. Treškārt, šīm sistēmām vai resursiem ir tieša ietekme uz subjekta pamatdarbību. Ja kāds nosacījums neizpildās, 26.¹ pants uz amatu neattiecas, lai gan citas prasības, piemēram, piekļuves kontroles prasības MK noteikumos Nr. 397, paliek spēkā.

Ne NKDL, ne MK noteikumi Nr. 397 nedefinē “privileģētas tiesības”. Noteikumi lieto jēdzienus “administratora lietotāja konts” un “sistēmkonts” (51. punkts), un ar tiem var saistīt praktisku vērtējumu. NKC skaidrojumu par 26.¹ panta tvērumu 2026. gada 23. oktobrī neatradām. Tālāk tabulā ir mūsu ieteikta interpretācija, nevis oficiāla nostāja.

Tipiskas lomas un 26.¹ panta piemērojamība (praktiska interpretācija)

Loma	Parasti tvērumā?	Pamatojums
Sistēmu vai tīkla administrators ar domēna vai mākoņa administratora tiesībām	Jā	Administratora konts sistēmās, no kurām atkarīgs pamatpakalpojums
Datubāzu administrators A vai B klases sistēmai	Jā	Tieša piekļuve pamatdarbības datiem un konfigurācijai
DevOps inženieris ar piekļuvi ražošanas videi un izvietošanas konveijeram	Jā	Var mainīt ražošanas sistēmas bez citas personas apstiprinājuma
Drošības operāciju centra analītiķis ar tiesībām izolēt galiekārtas	Parasti jā	Privileģēta darbība ar tiešu ietekmi uz pieejamību
IT atbalsta speciālists ar lokālā administratora tiesībām darbstacijās	Atkarīgs no apstākļiem	Jāvērtē, vai darbstacijas ir ceļš uz pamatdarbības sistēmām
Programmētājs bez piekļuves ražošanas videi	Parasti nē	Nav privileģētas piekļuves sistēmām ar tiešu ietekmi
Biznesa lietotājs ar plašām tiesībām grāmatvedības sistēmā	Parasti nē	Nav “darbinieks IKT jomā”, lai gan risks var būt līdzīgs

Kuri noziegumi un kad tie vairs nav šķērslis

Norma aptver tikai tīšus noziegumus trīs grupās: saistītus ar terorismu; pret valsti, pārvaldības kārtību vai valsts institūciju dienestā; pret īpašumu vai tautsaimniecībā. Neuzmanības nodarījumi šajā sarakstā nav iekļauti. Konkrētu sastāvu piederību grupai nosaka Krimināllikuma Sevišķās daļas attiecīgās nodaļas. Ja sodāmības ziņās redzams pants, kura piederība nav acīmredzama, jautājiet juristam.

Ierobežojums neattiecas uz reabilitētām personām un personām, kurām sodāmība noņemta vai dzēsta. Krimināllikuma 63. pants “Sodāmības dzēšana un noņemšana” paredz, ka sodāmības dzēšana un noņemšana anulē visas nodarījuma krimināltiesiskās sekas. Tāpēc arhīva ziņas par jau dzēstu sodāmību 26.¹ panta vērtējumā nav šķērslis.

Prasība ir līdzīga, bet ne identiska kiberdrošības pārvaldniekam izvirzītajai. Būtisko pakalpojumu sniedzēja pārvaldnieks nedrīkst būt sodīts par jebkuru tīšu noziedzīgu nodarījumu (MK noteikumu Nr. 397 12. punkts, kas atsaucas uz 11.4. apakšpunktu). Svarīgo pakalpojumu sniedzēja pārvaldniekam šāda nosacījuma nav (13. punkts). 26.¹ pants turpretī attiecas uz visiem subjektiem, bet tikai uz trim noziegumu grupām. Pārvaldnieka prasības detalizēti – ceļvedī par kiberdrošības pārvaldnieku.

Individuāls lēmums: ko tas nozīmē

Panta pirmā un otrā daļa jālasa kopā. Pirmā daļa nosaka, ka sodīta persona nevar būt privileģētas piekļuves IKT darbinieks. Otrā daļa prasa pieņemt individuālu lēmumu par šādas personas nodarbināšanu, izvērtējot četrus kritērijus. Likums nepaskaidro, vai individuāls lēmums var pieļaut izņēmumu no pirmās daļas vai tas ir domāts, lai izlemtu, vai un kādā amatā personu nodarbināt. Kamēr nav oficiāla skaidrojuma, drošākā prakse ir šāda: nepiešķiriet privileģētu piekļuvi personai, uz kuru attiecas pirmā daļa, bet individuālo lēmumu izmantojiet, lai izvērtētu iespējamu nodarbināšanu citā amatā bez privileģētām tiesībām.

Lēmumam jābūt rakstiskam un pamatotam. Ieteicamā struktūra:

1. Amats, sistēmas un tiesību līmenis, kam persona tiek vērtēta, un kāpēc amats ir 26.¹ panta tvērumā.
2. Sodāmības ziņu avots un datums (Sodu reģistra izziņa), nozieguma grupa pēc 26.¹ panta pirmās daļas.
3. Četru kritēriju vērtējums: drošības risks, nozieguma raksturs, kopš soda izciešanas pagājušais laiks, piemērotība amatam.
4. Lēmums: nenodarbināt, nodarbināt bez privileģētas piekļuves vai cits risinājums, ar pamatojumu.
5. Kompensējošie pasākumi, ja persona tiek nodarbināta citā lomā (piemēram, četru acu princips, žurnālfailu uzraudzība).
6. Lēmuma pieņēmējs, datums un pārskatīšanas nosacījumi.

Sodu reģistra pārbaude praksē

Sodu reģistrs ir valsts informācijas sistēma, kuras pārzinis un turētājs ir Iekšlietu ministrijas Informācijas centrs, un reģistrā iekļautās ziņas ir ierobežotas pieejamības informācija (Sodu reģistra likuma 2. un 3. pants). Šī likuma 19. panta pirmās daļas 7. punkts ļauj darba devējam saņemt ziņas, kas nepieciešamas, lai pārbaudītu personas atbilstību normatīvajos aktos noteiktajiem ierobežojumiem, pieņemot to darbā vai dienestā. Pieprasījumā jānorāda normatīvais akts, kas paredz ierobežojumus, šajā gadījumā NKDL 26.¹ pants.

Ziņas izsniedz izziņas veidā vai tiešsaistes datu pārraides režīmā, ja ziņu pieprasītājs ir identificēts (Sodu reģistra likuma 21. panta pirmā daļa). Ziņu sniegšana ir maksas pakalpojums (21. panta sestā daļa). Persona var pieprasīt arī izziņu par sevi pati (19. panta pirmās daļas 1. punkts). Praksē daudzi darba devēji lūdz kandidātu iesniegt šādu izziņu, taču tad darba devējs saņem plašāku informāciju nekā nepieciešams 26.¹ panta vērtējumam. Par to vairāk VDAR sadaļā.

Esošie darbinieki un ārpakalpojumi

Pirmās daļas aizliegums nav saistīts ar pieņemšanas brīdi, tātad tas attiecas arī uz cilvēkiem, kas privileģētos amatos strādāja jau pirms 18. jūnija. Turpretī trešās daļas un Sodu reģistra likuma 19. panta pirmās daļas 7. punkta tiesības pieprasīt ziņas formulētas saistībā ar “pieņemšanu darbā vai dienestā”. Esošo darbinieku pārbaudes kārtību (piemēram, pārcelšanu jaunā privileģētā amatā vai darbinieka paša iesniegtu izziņu ar skaidru paziņojumu par nolūku) saskaņojiet ar juristu un, ja ir, ar arodbiedrību.

26.¹ pants runā par “subjekta darbinieku”. Ārpakalpojuma sniedzēju darbinieki, kuri administrē jūsu sistēmas, formāli nav subjekta darbinieki, bet risks ir tāds pats. MK noteikumu Nr. 397 87. punkts prasa ārpakalpojuma līgumā noteikt pušu tiesības un pienākumus, bet būtisko pakalpojumu sniedzēju A klases sistēmām noteikumi jau tagad paredz SAB pārbaudi ārpakalpojuma izpildē iesaistītajām fiziskajām personām konkrētos gadījumos (104.2. apakšpunkts). Praktisks ieteikums: iekļaujiet līgumā piegādātāja apliecinājumu, ka tā darbinieki ar privileģētu piekļuvi atbilst 26.¹ panta kritērijiem. Sīkāk par līgumu prasībām – ceļvedī par piegādātāju drošību.

Datu aizsardzība: VDAR 10. pants

Ziņas par sodāmību VDAR regulē atsevišķi no īpašo kategoriju datiem, un aizsardzība tām ir tikpat stingra. VDAR 10. pants nosaka, ka šādu datu apstrādi veic tikai oficiālas iestādes kontrolē vai tad, ja to atļauj Savienības vai dalībvalsts tiesību akti ar atbilstošām garantijām. NKDL 26.¹ panta trešā daļa un Sodu reģistra likuma 19. panta pirmās daļas 7. punkts ir šāds tiesiskais pamats, taču tikai tādā apjomā, kas vajadzīgs 26.¹ panta ierobežojumu pārbaudei.

• Mērķa ierobežojums. Pārbaudiet tikai amatus, kas atbilst 26.¹ panta trim nosacījumiem. Visu darbinieku vispārēja pārbaude šo pamatu pārsniedz.
• Datu minimizēšana. Personāla lietā glabājiet secinājumu (“atbilst” vai “individuāls lēmums Nr. …”), nevis izziņas kopiju, ja vien tas nav nepieciešams lēmuma pamatošanai.
• Piekļuve. Ziņas redz tikai personas, kas pieņem lēmumu; piekļuvi reģistrējiet.
• Glabāšanas termiņš. Nosakiet, cik ilgi glabājat izziņu un individuālo lēmumu, un pēc termiņa tos dzēsiet.
• Informēšana. Kandidātam pirms pārbaudes paskaidrojiet, ka pārbaude tiks veikta, uz kāda pamata un kādam nolūkam.
• Ietekmes novērtējums. Apsveriet novērtējumu par ietekmi uz datu aizsardzību, jo VDAR preambulas 91. apsvērums kā piemēru min tieši datus par sodāmību.

Ja darba devējs lūdz kandidātu iesniegt pilnu izziņu par sevi, tajā var būt ziņas, kas nav saistītas ar 26.¹ pantu, piemēram, administratīvie sodi. To apstrādei šis pamats neattiecas. Tāpēc labāk izmantot darba devēja pieprasījumu ar atsauci uz 26.¹ pantu vai lūgt kandidātam parādīt izziņu, nefiksējot nevajadzīgo daļu.

HR un juridiskais process soli pa solim

Personāla drošības process privileģētās piekļuves amatiem

Solis	Atbildīgais	Rezultāts
1. Amatu kartēšana	Kiberdrošības pārvaldnieks kopā ar IT	Privileģētās piekļuves amatu saraksts, sasaistīts ar sistēmu katalogu
2. Iekšējā kārtība	Personāla daļa un jurists	Rīkojums vai noteikumi par 26.¹ panta pārbaudēm, datu apstrādes apraksts
3. Vakances paziņojums	Personāla daļa	Norāde, ka amatam tiks veikta pārbaude pēc NKDL 26.¹ panta
4. Pārbaude pirms pieņemšanas	Personāla daļa	Sodu reģistra ziņas ar atsauci uz NKDL 26.¹ pantu
5. Vērtējums	Lēmuma pieņēmējs (piemēram, valdes loceklis)	“Atbilst” vai individuāls lēmums pēc otrās daļas
6. Piekļuves piešķiršana	IT administrators	Tiesības tikai pēc pozitīva vērtējuma un sākotnējās kiberdrošības instruktāžas
7. Pārskatīšana	Kiberdrošības pārvaldnieks	Pārbaude pēc katras pārcelšanas privileģētā amatā

6. solis IKT kritiskajai infrastruktūrai ir obligāts: lietotāja kontu fiziskajai personai piešķir tikai pēc sākotnējās kiberdrošības instruktāžas (MK noteikumu Nr. 397 77.1. apakšpunkts). Pārējiem subjektiem sākotnējā instruktāža jāveic mēneša laikā no konta reģistrācijas (76.1.1. apakšpunkts), bet privileģētiem kontiem labāk to darīt pirms tiesību piešķiršanas. Šo dokumentāciju var iekļaut kopējā kiberdrošības politikā; kā to sakārtot, skaidrots ceļvedī par kiberdrošības dokumentāciju. Ja nepieciešams uzrakstīt personāla drošības kārtību un piekļuves politiku no nulles, OffSeq var sagatavot kiberdrošības politikas un procedūras jūsu organizācijas struktūrai.

Personāla pārbaude ir tikai daļa no privileģētās piekļuves kontroles

Sodāmības pārbaude parāda pagātni, bet neierobežo to, ko persona var izdarīt rīt. MK noteikumi Nr. 397 jau prasa tehniskās kontroles, kas 26.¹ pantu papildina. Tiesības piešķir pēc “nepieciešamības zināt” un mazāko privilēģiju principa (50.3. apakšpunkts). Administratora kontu neizmanto ikdienas darbam (51.5. apakšpunkts), un jebkura konta darbību var apturēt (51.6. apakšpunkts). Daudzfaktoru autentifikācija ir obligāta A klases sistēmu kontiem un B klases sistēmu administratoru kontiem (52. punkts). Kiberdrošības pārvaldniekam ir tiesības pārbaudīt kontus, tiesības un lietotāju darbības (54. punkts).

Šīs kontroles ir jāpārbauda arī pašvērtējuma ziņojumā. Vai organizācija tās īsteno, var ātri novērtēt ar gatavības pašpārbaudi, bet visu 2026. gada izmaiņu kopainu – ceļvedī par NKDL grozījumiem 2026.